ニューヨーク州金融サービス局 23 NYCRR 500

ニューヨーク州金融監督局 23 NYCRR 500 のサイバーセキュリティ要件

金融サービス企業のサイバーセキュリティ要件

Kingston による準拠対応

脅威の管理とリスクの軽減

個人から企業や政府機関まで、あらゆるニーズをカバーするオプションがあります。

• 100% 準拠した暗号化 USB データストレージ
• シンプルで使いやすく、ソフトウェアやドライバーは不要
• 迅速かつ効率的な導入を目指した設計

認識すべき事項

強調

• NIST 標準由来
• 包括的提案では、銀行、保険会社、その他の金融サービス企業は、データの移動時および保存時の両方の保護に対して厳しい責任が問われます。
• この提案は、組織に極秘データを移動時および保存時の両方で暗号化することを要求します
• ウォールストリートおよび資産が 2 兆 9000 億米ドル以上の約 1900 企業に影響を与えます
• 違反の責任を負い、自覚と、役員会に上げるアクションプランを持たなければならない人物を規制します
• 企業は、基準を定義し、インシデントの応答ポリシーを持ち、金融機関とのビジネスを行うための最小標準によりベンダー管理を更新する必要があります

データ暗号化処理

• KingstonとIronKeyの暗号化USBドライブは、データ暗号化のコンプライアンスを標準化するためのソリューションの1つです。
• この提案は、組織に極秘データを移動時および保存時の両方で暗号化することを要求します。（セクション500.15非公開情報の暗号化）
  • セクション 500.15 非公開情報の暗号化
    • (a)サイバーセキュリティプログラムの一環として、リスクアセスメントに基づき、各対象事業者は、外部ネットワーク経由での通信中および休止中の両方で、対象事業者が保有する非公開情報を保護するための、暗号化を含む制御を実施しなければなりません。
• 個人識別情報を処理または保持する組織は、個人データの損失を防ぐために適切なセキュリティを講じることが義務付けられます。
• 組織は、これらの強化されたデータ暗号化標準をサードパーティのサービスプロバイダーとの契約に含めることが求められます。(セクション500.11 サードパーティのサービスプロバイダーのセキュリティポリシー)
  • 多数のサービスプロバイダーを持つ組織は、各サービスプロバイダーが暗号化要件を順守していることを確認するために対策を講じなければなりません。
    • セクション 500.11 サードパーティのサービスプロバイダーのセキュリティポリシー
      • (2)通信中および休止中の非公開情報保護のための、セクション500.15で要求される、サードパーティのサービスプロバイダーの暗号化使用に関する方針と手順；

ビジネスへの影響

• ニューヨーク市内の銀行、保険およびその他の金融サービス業におけるビジネス、あるいはそれらの業界企業にサービスを提供、またはベンダーとして受託契約を結んでいる場合は、これらの規則に従い、その対象となる必要があります。
• また、情報のセキュリティおよびデータストレージ暗号化に関する適切なシステムの構築において、規制および規則を遵守する必要もあります。
• 個人識別情報を処理または保持する組織は、個人データの損失を防ぐために適切なセキュリティ措置を講じることが義務付けられます。

ビジネスに必要な準拠事項

• データを保存する内部/外部製品/デバイスをマッピングします。
  データセキュリティポリシーの下で対象となり、データ暗号化が確実に利用されるために使用される企業の設備を記録し、義務付けます。品目は、サーバー、ハードドライブ、SSD、USB フラッシュドライブ、コンピューターおよびモバイルデバイスなどですが、それらに限定されません。
• インベントリ分析
  個人データの総量を全体として評価します。
• パージ
  不要な個人識別情報 (PII) のアーカイブを除去します。
• 情報の管理者
  プライバシーリスクおよび影響の評価をレビューします。
• 契約
  2018 年 2 月の施行開始日後に義務化されるポリシーを、今、制定することでビジネスの陳腐化を防ぎます
• データ違反
  規制では、72 時間以内の通知が求められます。

ソリューション- - 個人データ/個人識別情報 (PII) のデータ暗号化など、適切なセーフガード、技術標準、およびポリシーを実施し、違反のリスクを軽減します。 詳細

違反の通知

データ違反の通知は、違反を知ってから、可能な場合は 72 時間以内に実行されなければなりません。ただし、個人の権利または自由に対しリスクとなる可能性がない場合は、DPA への通知を行う必要はありません。